当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-072890

漏洞标题:杰睿教育xss盲打后台继续sql注入

相关厂商:杰睿教育

漏洞作者: 龙行天下

提交时间:2014-08-18 16:41

修复时间:2014-10-02 16:42

公开时间:2014-10-02 16:42

漏洞类型:xss跨站脚本攻击

危害等级:高

自评Rank:18

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-08-18: 积极联系厂商并且等待厂商认领中,细节不对外公开
2014-10-02: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

xss打入后台,sql注入

详细说明:

校长信箱存在xss注入漏洞,进入后sql注入测试,发现有漏洞,直接威胁到公司oa系统,存在泄漏学生信息,教师信息,以及内部员工信息情况!

漏洞证明:

jerry3.jpg


存在xss漏洞

jerry4.jpg

打入后台

jerry1.jpg

该位置存在sql注入

jerry2.jpg

进入公司oa

修复方案:

1 过滤投诉建议中内容
2 排查sql注入的脚本进行防sql注入

版权声明:转载请注明来源 龙行天下@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝